Gegevensverwerkingsovereenkomst

Deze Gegevensverwerkingsovereenkomst ("DPA") maakt deel uit van de Gebruiksvoorwaarden tussen WearView, beheerd door Lean Shipper, LLC ("Verwerker", "wij", "ons") en de klant ("Verwerkingsverantwoordelijke", "u") die akkoord is gegaan met de Gebruiksvoorwaarden (de "Overeenkomst"). Deze DPA is van toepassing voor zover WearView Persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke in het kader van de levering van de Diensten. Deze DPA is opgenomen in en onderworpen aan de voorwaarden van de Overeenkomst.

1. Definities

Voor de doeleinden van deze DPA hebben de volgende termen de hieronder uiteengezette betekenissen:

"Verwerkingsverantwoordelijke" betekent de entiteit die het doel en de middelen van de Verwerking van Persoonsgegevens bepaalt. In het kader van deze DPA is de Verwerkingsverantwoordelijke de klant die gebruikmaakt van de Diensten van WearView.

"Verwerker" betekent de entiteit die Persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke. In het kader van deze DPA is de Verwerker Lean Shipper, LLC, handelend als WearView.

"Persoonsgegevens" betekent alle informatie met betrekking tot een geïdentificeerde of identificeerbare natuurlijke persoon die door WearView wordt verwerkt in verband met de Diensten.

"Betrokkene" betekent de geïdentificeerde of identificeerbare natuurlijke persoon op wie de Persoonsgegevens betrekking hebben.

"Verwerking" betekent elke bewerking of elk geheel van bewerkingen met betrekking tot Persoonsgegevens, waaronder verzameling, vastlegging, organisatie, opslag, aanpassing, opvraging, gebruik, verstrekking, wissing of vernietiging.

"Subverwerker" betekent elke derde partij die door de Verwerker is aangesteld om Persoonsgegevens te verwerken namens de Verwerkingsverantwoordelijke in verband met de Diensten.

"Toezichthoudende autoriteit" betekent een onafhankelijke overheidsinstantie die verantwoordelijk is voor het toezicht op de toepassing van wetgeving inzake gegevensbescherming, zoals vastgesteld door de toepasselijke wetgeving.

2. Reikwijdte en Doel

Deze DPA is van toepassing op de Verwerking van Persoonsgegevens door WearView namens de Verwerkingsverantwoordelijke in verband met de levering van de mode-AI-diensten van WearView, waaronder virtueel passen, AI-modelcreatie en product-naar-model-generatie.

De categorieën van verwerkte Persoonsgegevens omvatten: geüploade kledingstuk- en productafbeeldingen, door AI gegenereerde modelafbeeldingen, accountinformatie (naam, e-mailadres), gebruiksgegevens en betalingsinformatie die wordt verwerkt via externe betalingsverwerkers.

Het doel van de Verwerking is het leveren van de Diensten zoals beschreven in de Overeenkomst, inclusief AI-beeldgeneratie, opslag van gegenereerde inhoud, accountbeheer en facturering.

3. Verplichtingen van de Verwerker

WearView, als Verwerker, zal:

• Persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, tenzij dit vereist is op grond van toepasselijk recht, in welk geval de Verwerker de Verwerkingsverantwoordelijke vóór de Verwerking op de hoogte stelt van dat wettelijke vereiste (tenzij dit bij wet verboden is).
• Ervoor zorgen dat personen die gemachtigd zijn Persoonsgegevens te verwerken, zich tot geheimhouding hebben verplicht of onder een passende wettelijke geheimhoudingsplicht vallen.
• Passende technische en organisatorische beveiligingsmaatregelen implementeren om Persoonsgegevens te beschermen tegen ongeoorloofde of onrechtmatige Verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging.
• Geen andere verwerker (subverwerker) inschakelen zonder voorafgaande algemene schriftelijke toestemming van de Verwerkingsverantwoordelijke, en de Verwerkingsverantwoordelijke informeren over voorgenomen wijzigingen betreffende de toevoeging of vervanging van subverwerkers, waarbij de Verwerkingsverantwoordelijke de mogelijkheid krijgt om bezwaar te maken.
• De Verwerkingsverantwoordelijke bijstaan, rekening houdend met de aard van de Verwerking, door middel van passende technische en organisatorische maatregelen, bij het nakomen van de verplichting van de Verwerkingsverantwoordelijke om te reageren op verzoeken tot uitoefening van de rechten van Betrokkenen.
• De Verwerkingsverantwoordelijke bijstaan bij het waarborgen van de naleving van meldingsverplichtingen bij datalekken, rekening houdend met de aard van de Verwerking en de informatie waarover de Verwerker beschikt.
• Naar keuze van de Verwerkingsverantwoordelijke alle Persoonsgegevens verwijderen of retourneren aan de Verwerkingsverantwoordelijke na beëindiging van de levering van de Diensten, en bestaande kopieën verwijderen tenzij het toepasselijke recht opslag van de Persoonsgegevens vereist.
• Aan de Verwerkingsverantwoordelijke alle informatie ter beschikking stellen die nodig is om de naleving van de verplichtingen uit deze DPA aan te tonen, en audits, inclusief inspecties, mogelijk maken en eraan bijdragen, uitgevoerd door de Verwerkingsverantwoordelijke of een door de Verwerkingsverantwoordelijke gemandateerde auditor.

4. Verplichtingen van de Klant

De Verwerkingsverantwoordelijke zal:

• Voldoen aan alle toepasselijke wetten en regelgeving inzake gegevensbescherming in verband met de Verwerking van Persoonsgegevens en het gebruik van de Diensten.
• Ervoor zorgen dat er een rechtmatige grondslag is voor de Verwerking van Persoonsgegevens zoals geïnstrueerd door de Verwerkingsverantwoordelijke, en dat alle noodzakelijke toestemmingen zijn verkregen of andere rechtsgrondslagen zijn vastgesteld.
• Zorgen voor de nauwkeurigheid en kwaliteit van Persoonsgegevens die aan de Verwerker worden verstrekt, en alle rechten behouden die nodig zijn om dergelijke gegevens aan de Verwerker te verstrekken voor Verwerking.

5. Subverwerkers

De Verwerkingsverantwoordelijke verleent algemene toestemming aan de Verwerker om subverwerkers in te schakelen. De Verwerker zal de Verwerkingsverantwoordelijke informeren over voorgenomen wijzigingen betreffende de toevoeging of vervanging van subverwerkers, waarbij de Verwerkingsverantwoordelijke de mogelijkheid krijgt om op redelijke gronden met betrekking tot gegevensbescherming bezwaar te maken tegen dergelijke wijzigingen.

Indien de Verwerkingsverantwoordelijke op redelijke gronden met betrekking tot gegevensbescherming bezwaar maakt tegen een nieuwe subverwerker, zullen de partijen de kwestie te goeder trouw bespreken. Indien geen oplossing wordt bereikt, kan de Verwerkingsverantwoordelijke de betreffende Diensten zonder boete beëindigen.

De Verwerker zorgt ervoor dat subverwerkers gebonden zijn aan gegevensbeschermingsverplichtingen die niet minder beschermend zijn dan die welke in deze DPA zijn vastgelegd. De Verwerker blijft volledig aansprakelijk voor de handelingen en nalatigheden van zijn subverwerkers.

Huidige Subverwerkers

Een gedetailleerde lijst van huidige sub-verwerkers is op verzoek beschikbaar door contact op te nemen met contact@wearview.ai.

6. Internationale Gegevensoverdrachten

Persoonsgegevens kunnen worden overgedragen naar en verwerkt in de Verenigde Staten, waar onze Diensten en sub-verwerkers zich voornamelijk bevinden. Onze sub-verwerkers handhaven passende mechanismen voor gegevensoverdracht, waaronder certificering onder het EU-VS Data Privacy Framework en/of Standaard Contractuele Clausules, om adequate bescherming te waarborgen van Persoonsgegevens die vanuit de Europese Economische Ruimte (EER), het Verenigd Koninkrijk of Zwitserland worden overgedragen.

7. Gegevensbeveiliging

De Verwerker implementeert en onderhoudt passende technische en organisatorische maatregelen om Persoonsgegevens te beschermen, waaronder maar niet beperkt tot:

• Versleuteling tijdens overdracht: Alle gegevens die worden verzonden tussen de Verwerkingsverantwoordelijke en de Diensten worden versleuteld met TLS/SSL (256-bit) versleuteling.
• Versleuteling in rust: Persoonsgegevens die door de Diensten worden opgeslagen, worden versleuteld met AES-256 versleuteling.
• Toegangscontroles: Op rollen gebaseerde toegangscontroles en meervoudige authenticatie worden geïmplementeerd om de toegang tot Persoonsgegevens te beperken tot alleen geautoriseerd personeel.
• Infrastructuurbeveiliging: De Diensten worden gehost op cloudinfrastructuur van enterprise-niveau met fysieke beveiliging, netwerksegmentatie en DDoS-bescherming.
• Monitoring: Continue monitoring-, registratie- en waarschuwingssystemen zijn aanwezig om potentiële beveiligingsincidenten te detecteren en erop te reageren.
• Training van personeel: Personeel met toegang tot Persoonsgegevens is op de hoogte van hun gegevensbeschermingsverplichtingen en volgt vastgestelde beveiligingspraktijken.

8. Melding van Datalekken

De Verwerker zal de Verwerkingsverantwoordelijke zonder onredelijke vertraging, en in ieder geval binnen 48 uur, op de hoogte stellen nadat hij kennis heeft gekregen van een inbreuk op Persoonsgegevens.

De melding dient het volgende te bevatten:

• Een beschrijving van de aard van de inbreuk, inclusief de categorieën en het geschatte aantal Betrokkenen en records van Persoonsgegevens die zijn getroffen
• De naam en contactgegevens van het aanspreekpunt voor gegevensbescherming van de Verwerker
• Een beschrijving van de waarschijnlijke gevolgen van de inbreuk
• Een beschrijving van de genomen of voorgestelde maatregelen om de inbreuk aan te pakken, inclusief maatregelen om de mogelijke nadelige effecten te beperken

De Verwerker zal samenwerken met de Verwerkingsverantwoordelijke en redelijke commerciële stappen ondernemen om te helpen bij het onderzoeken, beperken en verhelpen van elke inbreuk.

9. AI en Machine Learning

WearView gebruikt geen door klanten ingediende inhoud, inclusief geüploade kledingstukafbeeldingen, productfoto's of gegenereerde output, om AI- of machine learning-modellen te trainen, te verbeteren of te ontwikkelen.

Geüploade inhoud wordt uitsluitend verwerkt met als doel de gevraagde dienst te leveren (bijv. virtueel passen, AI-modelcreatie, product-naar-model-conversie). Nadat de generatie is voltooid, worden invoerbeelden uitsluitend gebruikt om resultaten aan de klant te tonen en worden niet voor andere doeleinden bewaard.

Er is geen opt-out-mechanisme nodig omdat er geen training plaatsvindt op klantinhoud. Deze toezegging geldt voor alle abonnementsniveaus.

10. Bewaring en Verwijdering van Gegevens

Persoonsgegevens worden bewaard gedurende de looptijd van het actieve abonnement van de Verwerkingsverantwoordelijke op de Diensten. Bij beëindiging of afloop van de Overeenkomst zal de Verwerker, naar keuze van de Verwerkingsverantwoordelijke, alle Persoonsgegevens retourneren of veilig verwijderen binnen 30 dagen.

Na verwijdering van Persoonsgegevens kunnen resterende kopieën in versleutelde back-upsystemen maximaal 7 dagen bewaard blijven voordat ze automatisch worden gewist.

De Verwerkingsverantwoordelijke kan op elk moment verzoeken om eerdere verwijdering van specifieke gegevens door contact op te nemen met contact@wearview.ai. De Verwerker zal aan dergelijke verzoeken voldoen binnen een redelijke termijn.

De Verwerker mag Persoonsgegevens langer bewaren dan de hierboven vermelde perioden alleen wanneer dit vereist is door toepasselijk recht, in welk geval de Verwerker de Verwerkingsverantwoordelijke zal informeren en de voortdurende bescherming van dergelijke gegevens zal waarborgen.

11. Auditrechten

De Verwerkingsverantwoordelijke mag de naleving van deze DPA door de Verwerker maximaal eenmaal per jaar controleren, of vaker indien vereist door toepasselijk recht of na een inbreuk op Persoonsgegevens. De Verwerkingsverantwoordelijke dient ten minste 30 dagen van tevoren schriftelijk kennis te geven van een audit.

Audits worden uitgevoerd tijdens normale kantooruren, met inachtneming van redelijke vertrouwelijkheidsverplichtingen, en mogen de bedrijfsactiviteiten van de Verwerker niet onredelijk verstoren.

De Verwerker kan aan auditverzoeken voldoen door relevante auditverslagen van derden, certificeringen of andere documentatie te verstrekken die de naleving van deze DPA redelijkerwijs aantoont.

12. Aansprakelijkheid

De aansprakelijkheid van elke partij op grond van deze DPA is onderworpen aan de beperkingen en uitsluitingen van aansprakelijkheid zoals uiteengezet in de Overeenkomst.

Niets in deze DPA beperkt de aansprakelijkheid van een van beide partijen voor: (a) opzettelijk wangedrag of grove nalatigheid; (b) schending van vertrouwelijkheidsverplichtingen; of (c) enige aansprakelijkheid die niet kan worden beperkt op grond van toepasselijk recht.

13. Looptijd en Beëindiging

Deze DPA wordt van kracht op de datum waarop de Verwerkingsverantwoordelijke akkoord gaat met de Overeenkomst en blijft van kracht gedurende de levering van de Diensten door de Verwerker aan de Verwerkingsverantwoordelijke.

De verplichtingen van de Verwerker op grond van deze DPA blijven bestaan na beëindiging of afloop van de Overeenkomst voor zover nodig om de Verwerking van Persoonsgegevens in overeenstemming met deze DPA te voltooien, inclusief de verplichtingen tot teruggave en verwijdering van gegevens.

14. Algemene Bepalingen

Toepasselijk recht: Deze DPA wordt beheerst door en geïnterpreteerd in overeenstemming met de wetten van de Staat Delaware, Verenigde Staten, zonder rekening te houden met de bepalingen inzake conflictenrecht.

Wijzigingen: De Verwerker kan deze AVG van tijd tot tijd bijwerken om wijzigingen in de wetgeving inzake gegevensbescherming, praktijken of Diensten weer te geven. De bijgewerkte AVG wordt op de website van de Verwerker gepubliceerd. Voortgezet gebruik van de Diensten na dergelijke updates vormt aanvaarding van de herziene AVG.

Scheidbaarheid: Indien enige bepaling van deze DPA ongeldig of niet-afdwingbaar wordt geacht, blijven de overige bepalingen volledig van kracht.

Volledige overeenkomst: Deze AVG vormt samen met de Overeenkomst de volledige overeenkomst tussen de partijen met betrekking tot de Verwerking van Persoonsgegevens.

15. Contact

Voor vragen, verzoeken of kennisgevingen met betrekking tot deze Gegevensverwerkingsovereenkomst kunt u contact met ons opnemen via:

Email: contact@wearview.ai

Lean Shipper, LLC (handelend als WearView)

1207 Delaware Ave #3062, Wilmington, DE 19806, United States